Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) blm-125####.cos.ap-shan####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) h5.ibaile####.com:80
- TCP(HTTP/1.1) blm-125####.c####.myqc####.com:80
- TCP(HTTP/1.1) 125391####.v####.myqc####.com:80
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) s1.a####.com:443
- TCP(TLS/1.0) api.ibaile####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 125391####.v####.myqc####.com
- 7j####.c####.z0.####.com
- api.ibaile####.com
- blm-125####.c####.myqc####.com
- blm-125####.cos.ap-shan####.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- h5.ibaile####.com
- log.u####.com
- mt####.go####.com
- pub-####.qin####.com
- s####.u####.com
- s1.a####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- thi####.q####.cn
Запросы HTTP GET:
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/074a4b11528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/0ca72214528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/2452f0bb528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/53fba1bc528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/67982d9d528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/833a3617528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/8e3b8433528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/90a2c153528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/92ad5253528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/9f90e2b9528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/a3f6824d528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/cad17f0e528589078...
- 125391####.v####.myqc####.com/397ae0c4vodgzp1253916064/feed91f8528589078...
- blm-125####.c####.myqc####.com/110966538544375920.png
- blm-125####.c####.myqc####.com/1522705618202diyhead.jpg
- blm-125####.c####.myqc####.com/1529758497107head.png
- blm-125####.c####.myqc####.com/1529936810506head.png
- blm-125####.c####.myqc####.com/1534420587860head.png
- blm-125####.c####.myqc####.com/1536385195205head.png
- blm-125####.c####.myqc####.com/819269319236640908.jpg
- blm-125####.c####.myqc####.com/blmUN_blmun.jpg
- blm-125####.cos.ap-shan####.####.com/7f4242c0-e714-4886-afdd-2c329bd3ca7...
- blm-125####.cos.ap-shan####.####.com/811e25fb-b199-422a-9c92-3ba6d07b4c4...
- blm-125####.cos.ap-shan####.####.com/9b6fe219-0e3c-40d1-9ce0-c6570966747...
- blm-125####.cos.ap-shan####.####.com/a194d1ae-a0db-4305-850b-f1a698f1565...
- blm-125####.cos.ap-shan####.####.com/bf9a3700-533e-44ef-8cb3-562f81c8bb6...
- blm-125####.cos.ap-shan####.####.com/c9acda10-5565-4234-b758-97cd3967ef5...
- et2-na6####.wagbr####.ali####.####.com/bar/get/59c877578f4a9d321e00003e/...
- h5.ibaile####.com/code/image/StartTheFigure.mp4
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/tdata_JNg986
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iRz660
- t####.c####.q####.####.com/tdata_zzW503
- thi####.q####.cn/mmopen/vi_32/DYAIOgq83ep66a9s5XKFRaw7Isx0TaEqBCztaEysWT...
- thi####.q####.cn/mmopen/vi_32/PiajxSqBRaEIB7xgrn48zu9yBKT9ja9qUmaufk7p9c...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTKibaiagKmQTjiahTJAhf0IlGZNXNb7Et...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTLf6RXF3O4icKKhcuWiaYem5C8IWoCiai...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-HztoA7Lo7MJZwMOSfhaDnctIS0.166102280.tmp
- /data/data/####/.jg.ic
- /data/data/####/0Rfn8gmCe9h_neYj4wxd2QDaGnE.961664817.tmp
- /data/data/####/1553888483820.log
- /data/data/####/172a35f11dc9d52fdca7f562417a2c2a3d1f60fa512084a....0.tmp
- /data/data/####/249b6884b8fcc192d05dc99813e09b37b7c9ad86b10e94f....0.tmp
- /data/data/####/4fa9907eb140e611b04b41ebb713b2b9e2e966d01fe4aa3....0.tmp
- /data/data/####/55b2722031b71823e72963358f3dac192726400f24c7a32....0.tmp
- /data/data/####/7c2d125adcf7c2e8d916ba2090f7fa61ca768846cf33a06....0.tmp
- /data/data/####/8QyyxnU0t9y1R5gfLkeyxdjoE5A.-130737513.tmp
- /data/data/####/8tHpedY_4SMsvGLKb94k-hfxzzo.-888528850.tmp
- /data/data/####/9bteu6BKElncLSFnKcRZyMrMYhc.-439368474.tmp
- /data/data/####/9iTQnErnCqCmP5nqtZV85c7mtqM.1148106015.tmp
- /data/data/####/BFE0tUsSmcTMTP2b__q7LyueDKs.-1979240548.tmp
- /data/data/####/Bd_u7FwsPkMiteoeadQe-wShfeg.-1069975226.tmp
- /data/data/####/CfwDW8OOB5lfnlRyvM89XmElNhI.-114923470.tmp
- /data/data/####/CookiePersistence.xml
- /data/data/####/E68b9n9gdJnxG4U4xXLitlT8HUw.-68444107.tmp
- /data/data/####/EiG4ocmgZSUd2GEOdRpDTXkJs8o.1823193082.tmp
- /data/data/####/OZK_UI_jmD2ffEXYkTN90dSdCwE.87018765.tmp
- /data/data/####/P-0V-5GMU6VncgUFGTg-5lridSI.1992920359.tmp
- /data/data/####/P0Yjy5TH8G8KNTV8k10auhjUXqs.-1193808956.tmp
- /data/data/####/PSxFK7REf8GJXYCIHjh9W3uS_PQ.667960823.tmp
- /data/data/####/Rcz9cLyLhJOybzmlTViPAGupga4.-202044104.tmp
- /data/data/####/SU3sLtRVPJqzcKA7jpXl0nQyLbI.641141839.tmp
- /data/data/####/USfYG4CgClSgs8lkPqj86CHWVKI.813409095.tmp
- /data/data/####/ZD77S-fYPSUG8W5UkVl4FhqplLA.-1060957263.tmp
- /data/data/####/a2e02825fb2d
- /data/data/####/aRuHqskMKxM6PUnBm3Sv71Vfa6U.175577881.tmp
- /data/data/####/bailemeng
- /data/data/####/bailemeng-journal
- /data/data/####/bailemeng_sp.xml
- /data/data/####/d401c725f0c4404376b1e637df92a57302d9e7776461e28....0.tmp
- /data/data/####/dTeOaqPkmC9FgRoOdX73hrf5klM.-725126877.tmp
- /data/data/####/da4c8ec1b181905c46ab7fda795ea0bd220e021b4646333....0.tmp
- /data/data/####/dr50G45-TOnyoiRE93MIQkd5SUs.1865881874.tmp
- /data/data/####/f0501fa8fd20aa3488c2e91b339ebcf25b262c309fee811....0.tmp
- /data/data/####/firstConfig.xml
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/gyP-sDKn6kjqKA2W5ujAuOibkUE.266796190.tmp
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/j1KHRA4Kudl5MYIb7mSbo8ZiiMQ.-38684502.tmp
- /data/data/####/j1KHRA4Kudl5MYIb7mSbo8ZiiMQ.cnt
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1878589210.so
- /data/data/####/mCK1eUNipbY5RJ7gtbJR_-GZgZA.876419178.tmp
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_JNg986
- /data/data/####/tdata_JNg986.jar
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iRz660
- /data/data/####/tdata_iRz660.jar
- /data/data/####/tdata_zzW503
- /data/data/####/tdata_zzW503.jar
- /data/data/####/udaay7s_2-frJi6HfocP_GgwJgI.-91134321.tmp
- /data/data/####/umeng_socialize.xml
- /data/media/####/.nomedia
- /data/media/####/app.db
- /data/media/####/com.bailemeng.app.bin
- /data/media/####/com.bailemeng.app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/journal.tmp
- /data/media/####/tdata_JNg986
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iRz660
- /data/media/####/tdata_zzW503
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui.GeTuiPushService 24664 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-1878589210.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui.GeTuiPushService 24664 300 0
Загружает динамические библиотеки:
- bitmaps
- getuiext2
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu-1878589210
- memchunk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
